Microsoft SQL Server: Rechteerweiterung durch Code-Injection

Zusammenfassung

Microsoft SQL Server 2017, 2019, 2022 und 2025 enthalten eine Code-Injection-Schwachstelle (CWE-94), die einem berechtigten Angreifer eine Rechteerweiterung über das Netzwerk ermöglicht. Der Angreifer benötigt einen gültigen Login mit niedrigen Rechten und einen Netzwerkzugang zum SQL Server; zudem ist eine Benutzerinteraktion erforderlich. Eine erfolgreiche Ausnutzung könnte gemäss CVSS-Vektor die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. CISA SSVC stuft die Ausnutzung als keine und nicht automatisierbar ein.

Betroffen

• Microsoft SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• Microsoft SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• Microsoft SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• Microsoft SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• Microsoft SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• Microsoft SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• Microsoft SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• Microsoft SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

• Installieren Sie den aktuellen Build des jeweiligen Zweigs (GDR oder CU) oder einen neueren, wie im Microsoft-Advisory aufgeführt.
• Obere Grenzen laut CVE-Eintrag (noch nicht gegen MSRC verifiziert): 2017 GDR 14.0.2150.2; 2017 CU31 14.0.3570.2; 2019 GDR 15.0.2210.4; 2019 CU32 15.0.4510.2; 2022 GDR 16.0.1220.3.
• SQL Server 2025: abgedeckt durch das GDR-Update vom 10. November 2026 (KB5132748); die Build-Nummer der Korrektur ist unbekannt.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden; das Einspielen von Patches ist die verfügbare Massnahme.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Rapid7 stuft die Schwachstelle als 'Exploitation Less Likely' ein.
• Der CVSS-Vektor enthält den Exploit-Reifegrad E:U (kein bekannter Exploit).
• Öffentlicher Proof of Concept: unbekannt.

Unsere Empfehlung

• Patchen Sie alle SQL-Server-Instanzen der Versionen 2017, 2019, 2022 und 2025, einschliesslich vergessener oder Multi-Instanz-Server.
• Prüfen Sie die Build-Nummern vor dem Rollout gegen das MSRC-Advisory.
• Exponieren Sie SQL Server nicht direkt im Internet; beschränken Sie TCP 1433 und dynamische Ports auf Applikationsserver und Admin-Netze.
• Prüfen Sie Logins sowie sysadmin- und erhöhte Berechtigungen und entfernen Sie nicht benötigte Service- und Applikationskonten.
• Überwachen Sie nach dem Patchen auf ungewöhnliche Rechteänderungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record CVE-2026-118112 www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• KB5132748 SQL Server 2025 GDR November 2026 support.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Strix aggregator CVE-2026-118112 (secondary) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:55.